CVE-2017-6339

मध्यमप्रकाशित

प्रकाशित: 5 अप्रैल 2017
अद्यतन: 5 अग॰ 2024
सीएनए असाइन करना: mitre
साक्ष्य देखे गए: 12 जन॰ 2017

प्राथमिक सीवीएसएस

6.5/ 10मध्यम

nvd · CVSS 3.0

CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

ईपीएसएस संभाव्यता अनुमान

3.8%

कम · अगले 30 दिन

प्रतिशत: 89.6%
मॉडल दिनांक: 21 सित॰ 2026

ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।

सारांश

ट्रेंड माइक्रो इंटरस्कैन वेब सिक्योरिटी वर्चुअल अप्लायंस (IWSVA) 6.5, CP 1746 से पहले, कुछ कुंजी और प्रमाणपत्र डेटा का गलत प्रबंधन करता है। IWSVA प्रलेखन के अनुसार, डिफ़ॉल्ट रूप से, IWSVA एक निजी प्रमाणपत्र प्राधिकरण (CA) के रूप में कार्य करता है और गतिशील रूप से डिजिटल प्रमाणपत्र उत्पन्न करता है जो HTTPS कनेक्शन के लिए सुरक्षित मार्ग पूरा करने हेतु क्लाइंट ब्राउज़रों को भेजे जाते हैं। यह व्यवस्थापकों को रूट CA द्वारा हस्ताक्षरित अपने स्वयं के प्रमाणपत्र अपलोड करने की भी अनुमति देता है। कम विशेषाधिकार वाला हमलावर वर्तमान CA प्रमाणपत्र और निजी कुंजी (या तो डिफ़ॉल्ट या व्यवस्थापकों द्वारा अपलोड की गई) डाउनलोड कर सकता है और HTTPS ट्रैफ़िक को डिक्रिप्ट करने के लिए उनका उपयोग कर सकता है, जिससे गोपनीयता से समझौता होता है। इसके अलावा, इस अप्लायंस पर डिफ़ॉल्ट निजी कुंजी एक बहुत कमजोर पासफ़्रेज़ के साथ एन्क्रिप्ट की गई है। यदि कोई अप्लायंस ट्रेंड माइक्रो द्वारा प्रदान किए गए डिफ़ॉल्ट प्रमाणपत्र और निजी कुंजी का उपयोग करता है, तो एक हमलावर इन्हें आसानी से डाउनलोड कर सकता है और डिफ़ॉल्ट/कमजोर पासफ़्रेज़ का उपयोग करके निजी कुंजी को डिक्रिप्ट कर सकता है।

स्रोत

Trend Micro InterScan Web Security Virtual Appliance (IWSVA) 6.5 SP2 - Multiple Vulnerabilitiesएक्सप्लॉइट
SlidingWindow · hardware · 12 जन॰ 2017

जिम्मेदारीपूर्ण उपयोग

भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।